防火墻TFTP協(xié)議處理流程及TFTP ALG應(yīng)用

1、TFTP （ TrivialFileTransferProtocol,簡單文件傳輸協(xié)議）是TCP/IP協(xié)議族中的一個用來 在客戶機與服務(wù)器之間進行簡單文件傳輸?shù)膮f(xié)議，提供不復雜、開銷不大的文件傳輸服務(wù)。端 口號為69。TFTP是一個傳輸文件的簡單協(xié)議，它基于UDP協(xié)議而實現(xiàn)，但是我們也不能確定有些 TFTP協(xié)議是基于其它傳輸協(xié)議完成的。此協(xié)議設(shè)計的時候是進行小文件傳輸?shù)?，?shù)據(jù)以定長 512字節(jié)傳輸。每個數(shù)據(jù)包包括一塊數(shù)據(jù)，服務(wù)器發(fā)出下一個數(shù)據(jù)包以前必須得到客戶對上一 個數(shù)據(jù)包的確認。如果一個數(shù)據(jù)包的大小小于512字節(jié)，則表示傳輸結(jié)構(gòu)。如果數(shù)據(jù)包在傳輸 過程中丟失，發(fā)出方會在超時后重新傳輸最后一

2、個未被確認的數(shù)據(jù)包。通信的雙方都是數(shù)據(jù)的 發(fā)出者與接收者，一方傳輸數(shù)據(jù)接收應(yīng)答，另一方發(fā)出應(yīng)答接收數(shù)據(jù)。這個協(xié)議限制很多，這 是都是為了實現(xiàn)起來比較方便而進行的。因為TFTP使用UDP，而UDP使用IP，IP可以還使用其它本地通信方法。因此一個TFTP 包中會有以下幾段：本地媒介頭，IP頭，數(shù)據(jù)報頭，TFTP頭，剩下的就是TFTP數(shù)據(jù)了。TFTP 在IP頭中不指定任何數(shù)據(jù)，但是它使用UDP中的源和目標端口以及包長度域。由TFTP使用 的包標記（TID）在這里被用做端口，因此TID必須介于0到65,535之間。TFTPALG應(yīng)用需求由于TFTP協(xié)議屬于多通道協(xié)議，即控制通道與數(shù)據(jù)通道使用不同的連

3、接，當防火墻部署 在出口網(wǎng)絡(luò)中時，控制通道建立連接成功之后，若無TFTP ALG功能，防火墻無法識別后續(xù) TFTP協(xié)議的數(shù)據(jù)連接會話而被其阻斷；數(shù)據(jù)傳輸將出現(xiàn)問題。典型應(yīng)用組網(wǎng)1）TFTP客戶端置于內(nèi)網(wǎng)，服務(wù)器置于外網(wǎng)（組網(wǎng)如下）PCClient防火墻InternetServerIP ：00NAT 后 IP ：IP ：預(yù)置條件：防火墻Trust-Untrust全放通，反之全阻斷，開啟TFTPALG功能在上面的組網(wǎng)環(huán)境中，整個數(shù)據(jù)訪問流程過程如下:. PC 訪問 Server 的 69 端口請求文件下載，00:6789:69.經(jīng)過防火墻 SNAT轉(zhuǎn)換，:67893:69.Server 響應(yīng)請求返

4、回數(shù)據(jù);:45623:678( TFTPACLALG ). 經(jīng)過防火墻 NAT還原；:4562300:6789 ( TFTPNATALG ).數(shù)據(jù)到達PC, PC返回ACK，數(shù)據(jù)傳輸成功；在以上數(shù)據(jù)訪問流程中，若沒有開啟ALG功能，在第3步中防火墻會將后續(xù)的數(shù)據(jù) 報文協(xié)商(由外網(wǎng)Server主動發(fā)起)識別為非法流量而被阻斷，在第4步中不會根據(jù)協(xié) 議的控制連接會話將數(shù)據(jù)連接的目的IP進行NAT還原成PC私網(wǎng)IP。) TFTP客戶端置于內(nèi)網(wǎng)，服務(wù)器置于外網(wǎng)(組網(wǎng)如下)Server防火墻InternetPCClientIP :00SNAT后 IP :IP :DNAT前 IP : 51預(yù)置條件：防火墻Trust-Untrust全放通，反之只放通UDP 69號端口，開啟TFTP ALG 功能在上面的組網(wǎng)環(huán)境中，整個數(shù)據(jù)訪問流程過程如下：. PC 訪問 Server 的 69 端口請求文件下載，:6789351:69. 經(jīng)過防火墻 DNAT轉(zhuǎn)換，:6789300:69.Server 響應(yīng)請求，返回數(shù)據(jù)；00:45623:6789. 經(jīng)過防火墻 NAT還原；51:45623:678( TFTPNATALG ).數(shù)據(jù)到達PC, PC返回ACK，數(shù)據(jù)傳輸成功(TFTPACLALG )在以上數(shù)據(jù)訪問流程中，若沒有開啟ALG功能，在第4步中不會根據(jù)協(xié)議的控制連 接會話將數(shù)據(jù)連接的源IP進行NAT還